Data Domain: Hostcertificaten voor HTTP en HTTPS beheren

Certificaten kunnen verlopen of ongeldig worden. Als er geen certificaat wordt geïmporteerd, gebruikt het systeem een zelfondertekend certificaat, dat browsers of geïntegreerde applicaties mogelijk niet vertrouwen.

1. Controleer bestaande certificaten.

Voer op Data Domain (DD-CLI) de volgende opdracht uit om geïnstalleerde certificaten weer te geven:

adminaccess certificate show

Als certificaten verlopen zijn of bijna verlopen:

• Indien zelfondertekend, regenereren met behulp van DD-CLI
• Indien geïmporteerd, volgt u de onderstaande stappen voor CSR en import.

2. Genereer zelfondertekende certificaten.

U kunt het HTTPS-certificaat als volgt opnieuw genereren:

adminaccess certificate generate self-signed-cert

HTTPS- en vertrouwde CA-certificaten opnieuw genereren:

adminaccess certificate generate self-signed-cert regenerate-ca

3. Een CSR (Certificate Signing Request) genereren

Gebruik DD System Manager:

1. Stel een wachtwoordzin in, als u dit nog niet hebt gedaan:

system passphrase set

2. Ga naar Administration > Access > Administrator access.
3. Selecteer het tabblad > HTTPS > Certificaat configureren>.
4. Klik op De CSR voor dit Data Domain systeem genereren.
5. Vul het CSR-formulier in en download het bestand van:

/ddvar/certificates/CertificateSigningRequest.csr

Alternatief CLI-voorbeeld:

adminaccess certificate cert-signing-request generate key-strength 2048bit country "CN" state "Shanghai" city "Shanghai" org-name "Dell EMC" org-unit "Dell EMC" common-name "ddve1.example.com" subject-alt-name "DNS:ddve1.example.com, DNS:ddve1"

4. Ondertekend certificaat importeren

Gebruik DD System Manager:

1. Selecteer toegang tot >beheer > Toegang tot Abeheerder
2. Selecteer in het gedeelte Services HTTPS en klik op Configureren
3. Selecteer het tabblad Certificaat
4. Klik op Add. Er verschijnt een dialoogvenster Uploaden:

• Voor .p12 Bestand:
  • Selecteer Certificaat uploaden als .p12 Archiveer, voer wachtwoord in, blader en upload.
  • Voorbeeld voor .p12 Selectie:

• Voor .pem Bestand:
  • Selecteer Openbare sleutel uploaden als .pem Bestand en gebruik gegenereerde persoonlijke sleutel, blader en upload.

DD CLI alternatief: Raadpleeg het artikel Data Domain: Een certificaatondertekeningsaanvraag genereren en extern ondertekende certificaten gebruiken

5. Verwijder het bestaande certificaat.

Voordat u een nieuw certificaat toevoegt, verwijdert u het huidige certificaat:

1. 1. Ga naar het tabblad Beheerderstoegang >>> voor HTTPS > Certificaat configureren>.
   2. Selecteer Certificaat en klik op Verwijderen.

6. CSR-validatie

CSR valideren met behulp van de Windows opdrachtprompt:

certutil -dump <CSR file path>

7. Probleemoplossing: Browser geeft "Certificate Untrusted" weer na het importeren van een door een CA ondertekend certificaat

Als de browser de waarschuwing "Certificaat niet vertrouwd" of "Verbinding is niet beveiligd" weergeeft na het importeren van een CA-ondertekend certificaat, ontbreekt in het geïmporteerde PEM- of P12-bestand mogelijk een of meer tussenliggende CA-certificaten in de certificaatketen.

Oorzaak: Wanneer het geïmporteerde bestand alleen het leaf-certificaat (servercertificaat) bevat zonder het tussenliggende CA-certificaat/de tussenliggende CA-certificaten, bedient Data Domain een onvolledige certificaatketen. Sommige desktopbrowsers halen mogelijk automatisch ontbrekende tussenproducten op, maar mobiele apparaten, bewakingssystemen en DD-naar-DD-vertrouwensbewerkingen mislukken.

Controleer de certificaatketen:

Op een werkstation waarop OpenSSL is geïnstalleerd, inspecteert u het PEM-bestand voordat u het importeert:

openssl crl2pkcs7 -nocrl -certfile <certificate_file.pem> | openssl pkcs7 -print_certs -noout

Met deze opdracht worden alle certificaten in het bestand weergegeven. Een volledige keten moet het volgende omvatten:

• Het leaf-certificaat (server) (onderwerp CN komt overeen met de DD-hostnaam/FQDN)
• Een of meer tussenliggende CA-certificaten
• Optioneel het basis-CA-certificaat

Als alleen het leaf-certificaat aanwezig is, is de keten incompleet.

Oplossing:

1. Verkrijg de tussenliggende CA-certificaten van het team van de Enterprise Certificate Authority.

2. Voeg de certificaten samen in één PEM-bestand in de volgende volgorde:

   • Leaf-certificaat (eerste)
   • Intermediaire CA-certificaat(en) (in kettingvolgorde)
   • Basis-CA-certificaat (laatste, optioneel)

3. Verwijder het huidige geïmporteerde certificaat uit Data Domain:

   adminaccess certificate delete imported-host application https
   

4. Importeer het gereconstrueerde PEM-bestand met de volledige keten met behulp van de GUI- of CLI-procedures in sectie 4 hierboven.

• Privé- en openbare sleutels moeten 2048 bits zijn.
• DDOS ondersteunt alleen een actieve CSR en een ondertekend certificaat voor HTTPS tegelijk.

Referentie: KB-implementatieartikel: Data Domain: Extern ondertekende certificaten gebruiken